Procedimiento de Gestión de Brechas de Seguridad

1. Objeto y alcance

Este documento establece el procedimiento de Verifacturing para la detección, gestión, documentación y notificación de brechas de seguridad que afecten a datos personales, conforme a los artículos 33 y 34 del Reglamento General de Protección de Datos (RGPD).

El procedimiento aplica a todas las brechas de seguridad que puedan afectar a:

• Datos personales de usuarios de la plataforma
• Datos personales de clientes y proveedores de nuestros usuarios
• Datos fiscales y contables gestionados a través del servicio
• Certificados digitales almacenados en la plataforma

2. Definiciones

2.1 Brecha de seguridad de datos personales

Toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos (Art. 4.12 RGPD).

2.2 Tipos de brechas

3. Plazos críticos

4. Fases del procedimiento

4.1 Fase 1: Detección e identificación

Acciones inmediatas (primeros 30 minutos):

1. Registrar fecha y hora exacta de detección
2. Identificar el tipo de incidente (confidencialidad, integridad, disponibilidad)
3. Activar el equipo de respuesta a incidentes
4. Documentar toda la información disponible inicialmente

4.2 Fase 2: Contención

Acciones de contención (primeras 2 horas):

1. Aislar sistemas afectados si es necesario
2. Revocar accesos comprometidos
3. Preservar evidencias para análisis forense
4. Bloquear vectores de ataque identificados
5. Activar sistemas de backup si hay pérdida de disponibilidad

4.3 Fase 3: Evaluación del riesgo

Evaluar el impacto y la probabilidad de daño a los derechos y libertades de los afectados:

4.4 Fase 4: Notificación

A) Notificación a la AEPD (Art. 33 RGPD)

Obligatoria salvo que sea improbable que la brecha suponga un riesgo para los derechos y libertades de las personas.

Contenido mínimo de la notificación:

• Naturaleza de la brecha (categorías de datos y número aproximado de afectados)
• Nombre y datos de contacto del DPO o punto de contacto
• Consecuencias probables de la brecha
• Medidas adoptadas o propuestas para remediar la brecha

Canal: Sede Electrónica de la AEPD - Formulario de notificación de brechas

B) Comunicación a los afectados (Art. 34 RGPD)

Obligatoria cuando la brecha entrañe alto riesgo para los derechos y libertades.

Excepciones (no es necesaria si):

• Se han aplicado medidas que hacen ininteligibles los datos (cifrado)
• Se han tomado medidas que impiden que se materialice el alto riesgo
• Supone un esfuerzo desproporcionado (en cuyo caso, comunicación pública)

C) Notificación a clientes (Responsables del Tratamiento)

Conforme al DPA, notificaremos a los clientes afectados en un plazo máximo de 24 horas incluyendo:

• Descripción del incidente
• Datos potencialmente afectados
• Medidas de contención adoptadas
• Recomendaciones para los afectados finales
• Información necesaria para que cumplan sus obligaciones de notificación

4.5 Fase 5: Erradicación y recuperación

1. Eliminar la causa raíz del incidente
2. Restaurar sistemas y datos desde backups si es necesario
3. Verificar la integridad de los sistemas restaurados
4. Restablecer el servicio normal de forma controlada
5. Monitorización intensiva post-incidente

4.6 Fase 6: Lecciones aprendidas

1. Análisis post-incidente (máximo 30 días después)
2. Identificación de mejoras en controles de seguridad
3. Actualización de procedimientos si es necesario
4. Formación adicional al personal si procede
5. Documentación final del incidente

5. Registro de brechas

Verifacturing mantiene un registro interno de todas las brechas de seguridad (Art. 33.5 RGPD) que incluye:

• Fecha y hora de detección
• Descripción del incidente
• Categorías de datos y número de afectados
• Consecuencias evaluadas
• Medidas adoptadas
• Decisión sobre notificación (y justificación si no se notificó)
• Fechas de notificaciones realizadas
• Documentación de seguimiento

Este registro se conserva durante un mínimo de 5 años y está disponible para la AEPD si lo requiere.

6. Equipo de respuesta a incidentes

7. Canales de comunicación de incidentes

Si detecta o sospecha de una brecha de seguridad, comuníquelo inmediatamente:

8. Formación y simulacros

• Formación inicial: Todo el personal recibe formación sobre este procedimiento al incorporarse
• Formación periódica: Actualización anual sobre gestión de incidentes
• Simulacros: Se realizan ejercicios de simulación de brechas al menos una vez al año
• Actualización: El procedimiento se revisa anualmente o tras cada incidente significativo

9. Referencias normativas

• RGPD - Arts. 33 y 34: Notificación de violaciones de seguridad
• LOPDGDD - Art. 32: Bloqueo de datos
• Guía AEPD - Guía para la gestión y notificación de brechas de seguridad
• ENISA - Recomendaciones para la notificación de brechas

Documentos relacionados

• Política de Privacidad
• Contrato de Encargado del Tratamiento (DPA)
• Política de Seguridad de la Información
• Política de Certificados Digitales